authentication - JWT中的时间到期问题

Question

如您所知，使用基于 token 的身份验证而不是基于 session 的原因有很多。

在基于 session 的过程中，当然会有一个过期时间。因此，如果用户一段时间不活跃，则他的 session 将过期。但是，在到期之前，如果他向服务器发送请求，则会延长其时间。

有一个关于JWT的很棒的教程here。我对 token 的到期时间有疑问。假设我们将到期时间设置为100秒，然后对 token 进行签名。用户是否处于事件状态都无关紧要。在 100秒后，该 token 将不再有效。这打扰了用户。有什么办法可以延长时间吗？

这是一个真正的方法，还是我有一个错误。任何想法？

Answer 1

如果我正确理解了这个问题，那么在创建过程中更改JWT token 的到期是相当简单的...

The "exp" (expiration time) claim identifies the expiration time on or after which the JWT MUST NOT be accepted for processing. The processing of the "exp" claim requires that the current date/time MUST be before the expiration date/time listed in the "exp" claim.

可以在这里找到更多信息 https://tools.ietf.org/html/rfc7519#section-4.1.4

基本上， exp键需要一个unix时间戳-从现在开始将时间戳设置为> 100秒，您将实现目标。

要“刷新” token ，您的API需要一个服务，该服务接收有效的JWT，并返回具有更新的到期时间的相同签名的JWT。